访问控制漏洞和特权升级

在本节中，我们将讨论哪些访问控制安全性是什么，描述特权升级以及访问控制中可能出现的漏洞的类型，并总结如何防止这些漏洞。

什么是访问控制？

访问控制（或授权）是对谁（或什么）可以执行他们要求的尝试或访问资源的约束的应用。在Web应用程序的上下文中，访问控制beplay体育能用吗取决于身份验证和会话管理：

• 验证识别用户并确认他们是他们说的。
• 会话管理标识同一用户正在提出哪些随后的HTTP请求。
• 访问控制确定是否允许用户执行他们试图执行的操作。

损坏的访问控件通常是遇到的，通常是关键的安全漏洞。访问控制的设计和管理是一个复杂而动态的问题，可将业务，组织和法律限制应用于技术实施。访问控制设计决策必须由人类而不是技术做出，并且错误的潜力很高。

从用户角度来看，访问控件可以分为以下类别：

• 垂直访问控件
• 水平访问控件
• 与上下文有关的访问控件

垂直访问控件

垂直访问控件是限制对其他类型用户无法使用的敏感功能访问的机制。

使用垂直访问控件，不同类型的用户可以访问不同的应用程序功能。例如，管理员可能能够修改或删除任何用户的帐户，而普通用户无法访问这些操作。垂直访问控制可以是旨在执行业务政策的安全模型的更精细的实现，例如分离职责和最低特权。

水平访问控件

水平访问控件是将资源访问限制在专门允许访问这些资源的用户的机制。

使用水平访问控件，不同的用户可以访问相同类型的资源子集。例如，银行应用程序将允许用户查看交易并从其自己的帐户中付款，而不是任何其他用户的帐户。

与上下文有关的访问控件

与上下文有关的访问控制基于应用程序状态或用户与其与之交互的访问限制对功能和资源的访问。

与上下文有关的访问控件阻止用户以错误的顺序执行操作。例如，零售网站可能会阻止用户在付款后修改购物beplay体育能用吗车的内容。

破损访问控件的示例

当用户实际上可以访问某些资源或执行无法访问的某些操作时，损坏的访问控制漏洞就存在。

垂直特权升级

如果用户可以访问无法访问的功能，则这是垂直特权升级。例如，如果非管理用户实际上可以获取可以删除用户帐户的管理页面访问权限，那么这就是垂直特权升级。

未保护功能

在最基本的情况下，垂直特权升级是在应用程序无法对敏感功能强制保护的情况下出现的。例如，管理功能可以从管理员的欢迎页面链接，而不是从用户的欢迎页面链接。但是，用户可能只能通过直接浏览相关的管理URL访问管理功能。

例如，网站可能会在以下URL上beplay体育能用吗托管敏感功能：

https://insecure-beplay体育能用吗website.com/admin

实际上，任何用户都可以访问这一点，而不仅仅是具有指向其用户界面功能的管理用户。在某些情况下，行政URL可能会在其他位置披露，例如robots.txt文件：

https://insecure-beplay体育能用吗website.com/robots.txt

即使在任何地方都没有披露URL，攻击者也可能能够使用单词列表来暴力敏感功能的位置。

在某些情况下，敏感功能并不能受到强大的保护，而是通过给出一个较不可预测的URL来隐藏：通过默默无闻的安全性。仅隐藏敏感功能并不能提供有效的访问控制，因为用户可能仍会以各种方式发现混淆的URL。

例如，考虑一个在以下URL上托管管理功能的应用程序：

https://insecure-beplay体育能用吗website.com/administrator-panel-yb556

攻击者可能无法直接猜测。但是，该应用程序仍可能将URL泄漏给用户。例如，可以在JavaScript中披露URL，该URL根据用户的角色构建用户界面：